Индивидуальный проект

Этап 4

Хамдамова А. А.

Российский университет дружбы народов, Москва, Россия

27 апрель 2024

Информация

Докладчик

Вводная часть

Теоретическая часть

Nikto – это сканер с открытым исходным кодом (GPL) для веб-серверов, он выполняет комплексные тесты в отношении серверов по нескольким направлениям, включая более 6700 потенциально опасных файлов/программ, проверка на устаревшие версии более 1250 серверов и проблемы, специфичные для версий более чем 270 серверов. Сканер также проверяет элементы конфигурации сервера, такие как присутствие нескольких индексных файлов, серверные опции HTTP и пытается определить имя и версии веб-сервера и программного обеспечения.

На официальном сайте изменения замерли на 2.1.5 версии аж в 2012 году. Тем не менее, под руководством автора проект живёт на GitHub’е, пользователи регулярно добавляют в базу данных и плагины изменения для сканирования новых уязвимостей, новых версий и т.д.

Nikto не создавался быть незаметным. Он будет тестировать веб-сервер за самое быстрое возможное время, очевидно, что его активность попадёт в логи веб-сервера и в поле зрение IPS/IDS (систем обнаружения/предотвращения вторжений). Тем не менее, имеется поддержка для анти-IDS методов из LibWhisker – на случай, если вы захотите их попробовать (или протестировать вашу систему IDS).

##Теоретическая часть Не каждая проверка относится к проблеме безопасности, хотя большинство относятся. Некоторые пункты являются проверками типа «только для информации», которые ищут вещи, может быть не имеющие брешей безопасности, но веб-мастер или инженер по безопасности могут не знать, что это присутствует на сервере. Обычно в выводимой информации эти элементы помечены соответствующим образом. Есть также некоторые проверки на неизвестные элементы, которые были замечены в файлах журналов.

Особенности и возможности Nikto Вот некоторые из основных особенностей Nikto:

Поддержка SSL (Unix с OpenSSL или может быть Windows с Perl/NetSSL в ActiveState) Полная поддержка HTTP прокси Проверка на устаревшие компоненты сервера Сохранение отчёта в виде простого текста, XML, HTML, NBE или CSV Движок шаблонов для простой настройки отчётов Сканирование нескольких портов на сервере или несколько серверов полученных из файла ввода (включая вывод nmap) Техники кодирования LibWhisker IDS Идентификация установленного программного обеспечения по заголовкам, иконкам (favicon) и файлам Аутентификация на хосте с Basic и NTLM Угадывание поддоменов

Цели и задачи

  • использовать сканер nikto

Результаты

  • Научилась использовать сканер nikto для тестирования веб-приложений

Настраиваем права доступа

Ход работы